Risikocontrolling-Funktion MaRisk: AT 4.4.1 und wo der Prüfungsmaßstab heute steht

Mit dem Rundschreiben 06/2026 (BA) vom 30. Juni 2026 hat die BaFin die Mindestanforderungen an das Risikomanagement neu gefasst. Für die Risikocontrolling-Funktion bedeutet das zunächst eine sichtbare Straffung: AT 4.4.1 enthielt in der Fassung vom 29. Mai 2024 sechs Textziffern, in der Fassung vom 30. Juni 2026 sind es vier.

Die Straffung ist allerdings keine Deregulierung, sondern eine Umverteilung. Wer den Prüfungsmaßstab für die Risikocontrolling-Funktion weiterhin allein aus dem Funktionsmodul ableitet, greift deshalb zu kurz. Dieser Beitrag setzt unsere Reihe zur 9. MaRisk-Novelle fort und ordnet ein, wo die Anforderungen heute stehen.

Was sich in AT 4.4.1 geändert hat

Von sechs auf vier Textziffern

Die Fassung 2024 regelte in AT 4.4.1 zunächst sechs Textziffern: Unabhängigkeit und Funktionstrennung (Tz. 1), einen siebenteiligen Aufgabenkatalog (Tz. 2), Befugnisse und Datenzugang (Tz. 3), die Leitung der Funktion (Tz. 4), eine Sonderregel für bedeutende Institute (Tz. 5) sowie die Anzeige eines Leitungswechsels an das Aufsichtsorgan (Tz. 6).

Die Fassung 2026 kommt dagegen mit vier aus. Dabei sind zwei Textziffern ganz aus dem Modul verschwunden, eine ist inhaltlich neu zugeschnitten, und der Aufgabenkatalog ist zu einem Satz verdichtet worden.

Was aus dem Modul verschwunden ist

• das Attribut „unabhängige" Risikocontrolling-Funktion (Tz. 1 a. F.),
• der ausdrückliche ESG-Bezug in Tz. 1 a. F.,
• die namentliche Zuweisung von Risikoinventur, Gesamtrisikoprofil, Risikotragfähigkeit, Risikolimiten und Risikokennzahlen an die Funktion (Tz. 2 a. F.),
• die Adressaten der unverzüglichen Weitergabe wesentlicher Informationen (Tz. 2 a. F.),
• die Pflicht, die Leitung bei bestimmten Instituten einem Geschäftsleiter zu übertragen (Tz. 5 a. F.),
• die Wechselanzeige an das Aufsichtsorgan (Tz. 6 a. F.).

Was hinzugekommen ist

Neu sind zudem eine Erleichterung für kleine Institute mit höchstens drei Geschäftsleitern (Tz. 1) sowie die Überwachung NPE-bezogener Leistungsindikatoren bei Instituten mit hohem NPL-Bestand (Tz. 2). Ferner wurde die Mindestebene der Leitung verschärft.

Die Unabhängigkeit: aus dem Modul verschwunden, im Gesetz verankert

Der Wortlautvergleich

Die Fassung 2024 begann AT 4.4.1 Tz. 1 mit den Worten: „Jedes Institut muss über eine unabhängige Risikocontrolling-Funktion verfügen […]". Die Fassung 2026 lautet dagegen: „Jedes Institut muss über eine Risikocontrolling-Funktion verfügen, die wesentliche Risiken überwacht und berichtet."

Das Attribut ist also tatsächlich verschwunden. Für sich genommen legt dieser Befund eine Abschwächung nahe.

Warum daraus keine Abschwächung folgt

Der Schluss wäre jedoch falsch, denn die Anforderung steht unmittelbar im Gesetz. § 25a Abs. 1 Satz 3 Nr. 3 KWG verlangt „die Einrichtung interner Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision", wobei das interne Kontrollsystem nach lit. c insbesondere „eine unabhängige Risikocontrolling-Funktion und eine unabhängige Compliance-Funktion" umfasst.

Alle drei internen Kontrollfunktionen im Sinne des § 1 Abs. 2a KWG sind damit gesetzlich als unabhängig definiert. Die Novelle wiederholt diese gesetzliche Vorgabe im Funktionsmodul folglich nicht mehr und konzentriert AT 4.4.1 stattdessen auf Organisation, Aufgaben und Stellung der Funktion.

Meinung des Verfassers: Für das Revisionshandbuch heißt das, den Verweis umzustellen. Wer die Unabhängigkeit der Risikocontrolling-Funktion bislang mit AT 4.4.1 Tz. 1 begründet hat, findet dort künftig keine Grundlage mehr – wohl aber in § 25a Abs. 1 Satz 3 Nr. 3 lit. c KWG.

Funktionstrennung und die neue Kleininstitutsregel

Der neue Wortlaut

Die Trennungsanforderung ist sprachlich gestrafft, in der Sache aber unverändert. 2024 war die Funktion „aufbauorganisatorisch bis einschließlich der Ebene der Geschäftsleitung von den Bereichen zu trennen, die für die Initiierung bzw. den Abschluss von Geschäften zuständig sind". 2026 muss sie „organisatorisch bis einschließlich der Ebene der Geschäftsleitung von den Geschäftsbereichen getrennt sein, die Geschäfte initiieren bzw. abschließen".

Die Trennungsebene bleibt damit dieselbe. Die Erläuterung konkretisiert zudem, welche Bereiche gemeint sind: „der Bereich Markt, der Bereich Handel sowie andere Bereiche, die über Positionsverantwortung verfügen (z. B. Treasury). Auch so genannte „nicht-risikorelevante" Kreditgeschäfte fallen darunter." Ferner stellt sie klar, dass „[d]ie speziellen Anforderungen des BTO an die Funktionstrennung […] unberührt" bleiben.

Die Bedingungen der Ausnahme

Neu ist dagegen der dritte Satz der Tz. 1: „In kleinen Instituten mit höchstens drei Geschäftsleitern genügt es in der Regel, wenn der Bereich Markt für „nicht-risikorelevantes" Kreditgeschäft und die Risikocontrolling-Funktion bis unmittelbar unterhalb der Geschäftsleiterebene getrennt sind, sofern keine wesentlichen Interessenkonflikte bestehen und Verantwortlichkeiten beim betreffenden Geschäftsleiter nicht gebündelt sind."

Die beiden Bedingungen im letzten Halbsatz sind prüfungsrelevant. Die Erleichterung greift nämlich nicht automatisch, sondern nur bei nachgewiesener Konfliktfreiheit – und genau dieser Nachweis ist ein Prüfungsgegenstand.

Der Aufgabenkatalog: verdichtet, nicht abgeschafft

Was 2024 im Modul stand

AT 4.4.1 Tz. 2 a. F. listete sieben Aufgaben einzeln auf, darunter die Unterstützung der Geschäftsleitung bei Entwicklung und Umsetzung der Risikostrategie, die „Durchführung der Risikoinventur und Erstellung des Gesamtrisikoprofils", die „Einrichtung und Weiterentwicklung eines Systems von Risikokennzahlen und eines Risikofrüherkennungsverfahrens" sowie die „[l]aufende Überwachung der Risikosituation des Instituts und der Risikotragfähigkeit sowie der Einhaltung der eingerichteten Risikolimite".

2026 heißt es dagegen zusammenfassend: „Die Risikocontrolling-Funktion soll die Geschäftsleitung in Risikofragen unterstützen, bei der Entwicklung der Risikostrategie aktiv eingebunden werden, Risiken erfassen und bewerten, Frühwarnsysteme entwickeln, Risiken überwachen und regelmäßig berichten."

Wo die Anforderungen heute stehen

Diese Anforderungen sind allerdings nicht entfallen, sondern institutsweit geregelt. Die Risikoinventur und das Gesamtrisikoprofil verlangt nämlich AT 2.2 Tz. 1; nach AT 2.2 Tz. 3 sind dabei zudem „die Auswirkungen von ESG-Risiken angemessen zu berücksichtigen". Ferner fordert AT 4.3.2 Tz. 1, Risiken und Risikokonzentrationen „unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam zu begrenzen und zu überwachen". Und nach AT 4.3.2 Tz. 2 muss das Institut „geeignete Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoartenübergreifenden Effekten ableiten".

Auch die Adressaten sind nicht verschwunden. AT 4.4.1 Tz. 2 verlangt 2026 lediglich, dass „[u]nter Risikogesichtspunkten wesentliche Informationen […] unverzüglich weitergegeben werden" müssen. AT 4.3.2 Tz. 4 benennt sie dagegen unverändert: „unverzüglich an die Geschäftsleitung, die jeweiligen Verantwortlichen und ggf. die Interne Revision".

BT 2.2: die Berichtspflichten der Funktion

Am deutlichsten wird die Umverteilung im Berichtsmodul. BT 2.2 trägt 2026 die Überschrift „Berichte der Risikocontrolling-Funktion" und weist die Pflichten ausdrücklich zu: „Die Risikocontrolling-Funktion erstellt regelmäßig, mindestens vierteljährlich, einen Gesamtrisikobericht zu den wesentlichen Risikoarten und legt diesen der Geschäftsleitung vor" (Tz. 1). Der Bericht über Adressenausfallrisiken umfasst nach Tz. 3 unter anderem „Portfolioentwicklung, Limite, Limitauslastungen und -überschreitungen, Großkredite, Risikovorsorge, wichtige Kreditentscheidungen und NPL-Details".

Dieses Modul hieß in der Fassung 2024 übrigens BT 3.2 – unter demselben Titel. Es ist lediglich aufgerückt, weil BT 2 durch den Wegfall des Revisionsmoduls frei wurde.

Stellung und Leitung der Risikocontrolling-Funktion

Die Mindestebene wurde verschärft

AT 4.4.1 Tz. 4 lautet 2026: „Die Leitung der Risikocontrolling-Funktion ist in wichtige risikopolitische Entscheidungen der Geschäftsleitung einzubinden. Diese Person muss zumindest direkt unterhalb der Geschäftsleitung, angesiedelt sein und ihre Aufgabe grundsätzlich exklusiv wahrnehmen."

2024 hieß es dagegen, die Aufgabe sei „einer Person auf einer ausreichend hohen Führungsebene zu übertragen". Die neue Formulierung ist damit konkreter und setzt eine grundsätzlich höhere Mindestverankerung.

Die entfallene Geschäftsleiter-Pflicht

Tz. 5 a. F. verlangte bei bedeutenden Instituten und Instituten gemäß § 2 Abs. 9i Satz 2 KWG oberhalb der dortigen Bilanzschwelle, die exklusive Wahrnehmung der Leitung „grundsätzlich durch einen Geschäftsleiter" sicherzustellen. Dieser Geschäftsleiter durfte zudem „weder für den Bereich Finanzen/Rechnungswesen noch für den Bereich Organisation/IT verantwortlich sein".

Diese besondere Pflicht ist entfallen. An ihre Stelle tritt die Mindestverankerung aus Tz. 4; die Erläuterung regelt nunmehr lediglich den Fall einer freiwilligen Übertragung: „Sofern die Leitung der Risikocontrolling-Funktion auf einen Geschäftsleiter übertragen wird, müssen Maßnahmen zur Vermeidung von Interessenkonflikten implementiert werden." Unzulässig bleibt dabei die gleichzeitige Wahrnehmung von Risikocontrolling-Funktion, Marktfolge und Markt für nicht-risikorelevantes Kreditgeschäft durch einen Geschäftsleiter.

Dass die Vorstandspflicht entfällt, ist somit eine echte Änderung. Ersatzlos ist sie jedoch nicht, weil Interessenkonflikte, Funktionstrennung und Exklusivität weiterhin geregelt sind.

Der Wechsel der Leitung: MaRisk-Pflicht entfallen, Gesetzespflichten bleiben

Was 2024 galt

AT 4.4.1 Tz. 6 a. F. bestimmte: „Wechselt die Leitung der Risikocontrolling-Funktion, ist das Aufsichtsorgan rechtzeitig vorab unter Angabe der Gründe für den Wechsel zu informieren." Eine gleichlautende Pflicht bestand nach AT 4.4.3 Tz. 6 a. F. für die Interne Revision. Beide sind in der Fassung 2026 nicht mehr enthalten.

Die Nachfolgeregelungen sind nicht deckungsgleich

Gesetzliche Governance- und Anzeigepflichten bestehen gleichwohl fort. Nach § 25c Abs. 4a Nr. 3 lit. i KWG dürfen „die Leiter der internen Kontrollfunktionen nicht ohne vorherige Zustimmung durch das Verwaltungs- oder Aufsichtsorgan von ihrer Funktion entbunden werden […]; in eilbedürftigen Fällen kann der Vorsitzende des Verwaltungs- oder Aufsichtsorgans die Zustimmung vorläufig erteilen".

Das ist jedoch etwas anderes. Die Vorschrift erfasst nämlich die Entbindung von der Funktion und verlangt eine Zustimmung, nicht eine Vorabinformation unter Angabe von Gründen. Ein Wechsel aus anderem Anlass – etwa durch freiwilliges Ausscheiden – wird davon folglich nicht erfasst.

Hinzu treten Anzeigepflichten bei großen Unternehmen im Sinne des § 1 Abs. 1c KWG: § 24 Abs. 1 Nr. 15b KWG für die Ernennung von Inhabern besonderer Schlüsselfunktionen und § 24 Abs. 1 Nr. 16 KWG für deren Abberufung, „einschließlich einer gemäß § 25c Absatz 4a Nummer 3 Buchstabe i erforderlichen Zustimmung". Dass die Leiter der internen Kontrollfunktionen dazu zählen, folgt aus § 1 Abs. 2c und Abs. 2d KWG, soweit sie nicht Geschäftsleiter sind.

Das Auskunftsrecht des Aufsichtsorgans

Die Novelle hat überdies keinen Einfluss auf einen Zugang, der ohnehin gesetzlich geregelt ist – und zwar doppelt.

Nach § 25d Abs. 9 KWG kann „[d]er Vorsitzende des Prüfungsausschusses oder, falls ein Prüfungsausschuss nicht eingerichtet wurde, der Vorsitzende des Verwaltungs- oder Aufsichtsorgans, […] unmittelbar beim Leiter der Internen Revision und beim Leiter des Risikocontrollings Auskünfte einholen. Die Geschäftsleitung muss hierüber grundsätzlich unterrichtet werden."

Gleichlautend gilt dies nach § 25d Abs. 8 KWG für den Vorsitzenden des Risikoausschusses beziehungsweise ersatzweise für den Vorsitzenden des Aufsichtsorgans. Ferner haben die Leiter der internen Kontrollfunktionen nach § 25c Abs. 4a Nr. 3 lit. h KWG „direkten Zugang zum Verwaltungs- und Aufsichtsorgan" und sind berechtigt, „unabhängig von der Geschäftsleitung direkt an das Verwaltungs- oder Aufsichtsorgan zu berichten und insbesondere Warnungen über riskante Entwicklungen auszusprechen".

Was das für die Prüfung der Risikocontrolling-Funktion bedeutet

Der Prüfungsmaßstab muss zusammengesetzt werden

AT 4.4.1 ist 2026 kein vollständiger Aufgabenkatalog der Risikocontrolling-Funktion mehr. Ein Prüfungsprogramm, das sich allein auf dieses Modul stützt, prüft folglich gegen vier Textziffern und übersieht die tragenden Anforderungen. Konkret sind heranzuziehen:

• AT 2.2 für Risikoinventur, Gesamtrisikoprofil und die Berücksichtigung von ESG-Risiken,
• AT 4.3.2 für Limitierung, Frühindikatoren und die Weiterleitungsadressaten,
• BT 2.2 für die konkreten Berichtspflichten der Funktion,
• § 25a Abs. 1 Satz 3 Nr. 3 lit. c KWG für die Unabhängigkeit,
• § 25c Abs. 4a Nr. 3 lit. h und i sowie § 24 Abs. 1 Nr. 15b und 16 KWG für Zugang, Abberufung und Anzeigen,
• § 25d Abs. 8 und 9 KWG für das Auskunftsrecht des Aufsichtsorgans.

Einordnung aus der Prüfungspraxis

Die folgende Einschätzung ist eine Einordnung des Verfassers aus der Prüfungspraxis und keine Aussage der MaRisk.

Je schlanker das Funktionsmodul, desto stärker hängt das Urteil über die Wirksamkeit der Risikocontrolling-Funktion am Prüfer und nicht an einer Checkliste. Damit wächst zweierlei: der Bedarf an einer kritischen Grundhaltung – und die Versuchung, im Prüfungsgespräch beratend in die Rolle der zweiten Linie zu wechseln. Die Interne Revision beurteilt nach AT 4.4.3 Tz. 5 die Ordnungsmäßigkeit des Risikomanagements; sie gestaltet die Verfahren des Risikocontrollings jedoch nicht mit. Diese Grenze ist in einem schlanker gewordenen Regelwerk leichter zu überschreiten als zuvor.

Fazit

Die 9. MaRisk-Novelle verschlankt AT 4.4.1 spürbar, ohne die Anforderungen an die Risikocontrolling-Funktion zu senken. Das Attribut „unabhängig" entfällt im Modul, weil § 25a Abs. 1 Satz 3 Nr. 3 lit. c KWG es ohnehin vorgibt. Der Aufgabenkatalog wird verdichtet, weil die Einzelanforderungen institutsweit in AT 2.2 und AT 4.3.2 sowie als konkrete Berichtspflichten in BT 2.2 geregelt sind. Und die Wechselanzeige entfällt, ohne dass die gesetzlichen Nachfolgeregelungen mit ihr deckungsgleich wären.

Echte Erleichterungen gibt es dennoch: Die Pflicht, die Leitung bei bestimmten Instituten einem Geschäftsleiter zu übertragen, ist entfallen, und kleine Institute mit höchstens drei Geschäftsleitern dürfen unter Bedingungen enger organisieren.

Für die Interne Revision folgt daraus eine schlichte, aber unbequeme Konsequenz: Der Prüfungsmaßstab für die Risikocontrolling-Funktion steht nicht mehr an einer Stelle. Wer ihn nicht aktiv zusammensetzt und im Revisionshandbuch dokumentiert, prüft gegen ein unvollständiges Soll.